Martedì 14 luglio arriva il consueto aggiornamento di sicurezza mensile di Microsoft, il “Patch Tuesday”. Di solito è routine: si aggiorna e si va avanti. Questa volta, però, c’è un dettaglio che riguarda chi in azienda ha una rete Windows con un proprio server — o un consulente che la gestisce — e che vale la pena controllare prima di premere “aggiorna”.
Da questo aggiornamento in poi, Windows spegne definitivamente una vecchia tecnologia di cifratura chiamata RC4 all’interno di Kerberos, il sistema che decide chi può accedere a cosa nella rete aziendale. È una scelta giusta dal punto di vista della sicurezza. Il problema è un altro: se qualche dispositivo o programma “storico” si appoggiava ancora a RC4, dopo l’aggiornamento può smettere di autenticarsi — cioè di funzionare.
Cosa cambia, in parole semplici
RC4 è un metodo di cifratura datato, che Microsoft sta ritirando da mesi per una falla nota (identificata come CVE-2026-20833) sfruttabile per rubare le password degli account di servizio. Il ritiro è avvenuto in tre tappe: prima solo avvisi, poi il passaggio al metodo moderno (AES) come impostazione predefinita, e ora — con gli aggiornamenti di luglio 2026 — l’ultima fase, quella dell’enforcement.
“Enforcement” significa che finisce il periodo di tolleranza: sparisce la modalità “avviso” e viene tolta anche la possibilità, usata da alcune aziende, di rimandare ancora il cambiamento. Da qui in poi RC4 è disattivato per impostazione predefinita e viene usato solo se qualcuno lo riabilita a mano per un singolo account.
Gli aggiornamenti Windows di luglio 2026 attivano l'Enforcement Phase per CVE-2026-20833: RC4 viene spento di default e non è più possibile rimandare con la vecchia chiave di configurazione.
Fonte: Microsoft Support, Help Net Security — luglio 2026
Perché una PMI dovrebbe farci caso
Chi lavora solo con PC, cloud e servizi online (email, gestionali web, Microsoft 365) in genere non è toccato: qui si parla di reti aziendali con un dominio Windows / Active Directory, tipico delle imprese un po’ più strutturate o di chi ha un server interno.
Il rischio non è la falla in sé — quella è un bene che venga chiusa. Il rischio è la continuità operativa: gli account di servizio (quelli che fanno “parlare” tra loro i programmi senza che nessuno digiti una password), alcune stampanti di rete, NAS, applicativi gestionali datati o piccole appliance possono essere rimasti configurati su RC4 anni fa e non essere mai stati aggiornati. Dopo il 14 luglio, senza un controllo preventivo, potrebbero bloccarsi all’improvviso, con errori di accesso difficili da diagnosticare a caldo.
Il messaggio non è 'non aggiornare': è 'verifica cosa nella tua rete usa ancora RC4 prima di aggiornare', così l'update chiude la falla senza spegnerti un servizio.
Cosa fare, in concreto
Non serve gestirlo da soli: serve fare le domande giuste al proprio tecnico o consulente IT, possibilmente prima di martedì.
- Chiedi se in rete c’è un dominio Windows / Active Directory. Se la risposta è no (solo PC, cloud e Microsoft 365), con ogni probabilità questo cambiamento non ti riguarda e puoi aggiornare tranquillo.
- Chiedi di controllare gli eventi di audit RC4. Da gennaio i server registrano un avviso ogni volta che qualcosa chiede ancora RC4: quel registro dice esattamente quali account o dispositivi sono rimasti indietro, così si interviene su quelli e non “al buio”.
- Sistema prima di aggiornare, non dopo. Dove serve, la strada corretta è passare quei servizi ad AES (il metodo moderno), non riabilitare RC4 per comodità: sarebbe come rimettere la vecchia serratura che si voleva cambiare.
- Non rimandare l’update in blocco. Bloccare tutti gli aggiornamenti per evitare il problema è il rimedio peggiore: lo stesso pacchetto contiene le altre correzioni di sicurezza del mese. Meglio verificare e poi aggiornare.
In breve
Con il Patch Tuesday del 14 luglio 2026 Microsoft chiude l’ultima fase del ritiro della cifratura RC4 in Kerberos (CVE-2026-20833): niente più avvisi e niente più rinvii, RC4 è spento di default. Per chi ha una rete Windows con dominio, è un aggiornamento da fare — ma dopo aver verificato che account di servizio, stampanti e software datati non ci si appoggino ancora, per non ritrovarsi servizi bloccati. Un controllo di mezz’ora con il proprio tecnico evita un lunedì da dimenticare.